PHP2Shell: KI-Audit deckt kritische PHP-Lücken auf, jetzt patchen
22. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Die PHP-Entwickler haben am 21. Oktober 2026 Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die unter dem Namen PHP2Shell kursieren. Angreifer können darüber ohne Anmeldung eigenen Code auf Webservern ausführen. Aufgespürt wurde das Problem in einem Audit, bei dem KI-Werkzeuge eine zentrale Rolle spielten. Für Geschäftsführer ist das relevant, weil praktisch jede WordPress-Website, jeder Onlineshop und viele Kundenportale auf PHP laufen.
Was genau passiert ist
Betroffen sind die Schwachstellen CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Wert von 9.2 eingestuft (Quelle: thephp.foundation). Die erste Lücke steckt in der Speicherverwaltung: Erreicht eine Anfrage im falschen Moment das eingestellte Speicherlimit, bleiben halbfertige interne Daten zurück, die PHP später als gültig behandelt. Die zweite betrifft die Fehlerbehandlung, bei der ein Fehler Speicher aus einer früheren Anfrage wiederverwendbar macht. Laut PHP Foundation wurde unter Apache mit mod_php eine vollständige Codeausführung mit Standardeinstellungen demonstriert, und zwar bevor überhaupt Anwendungscode läuft. Ein vorab geleakter CVSS-Wert von 10.0 war falsch. Laut heise sind alle PHP-Versionen seit PHP 5 betroffen, darunter mod_php, PHP-FPM und LiteSpeed (Quelle: heise.de).
Die Rolle der KI bei der Entdeckung
Die PHP Foundation hatte PHP in das Programm „Patch the Planet” von OpenAI aufgenommen. Das Sicherheitsunternehmen Calif startete am 30. Juli ein Audit und meldete am 11. August eine Codeausführung ohne Vorbedingungen. Am selben Tag meldete OpenAI dieselbe Ursache, später folgten weitere Angriffswege von Wiz und erneut OpenAI. Zur Validierung der Meldungen setzte das Team nach eigenen Angaben OpenAIs Werkzeug Daybreak Red ein, ein früherer Scan lief mit Anthropics Claude Mythos. Wichtig zur Einordnung: Erste Hinweise auf das Speicherproblem gab es bereits bei einem externen Audit im Jahr 2024. Die Foundation räumt ein, dass die Arbeit an der Lösung damals immer wieder ins Stocken geriet, und nennt das selbst ein „strukturelles Versagen”. Die KI hat also nicht aus dem Nichts gezaubert, sie hat ein bekanntes Verdachtsmoment in einen belastbaren Angriff übersetzt. Und sie erzeugt Arbeit: Über 100 Meldungen waren ungültig, doppelt oder nicht reproduzierbar.
Wie ernst die Lage ist
Die Veröffentlichung wurde um einen Tag vorgezogen, nachdem CVE-Nummern im Netz aufgetaucht waren und Calif versehentlich ein Video des Angriffs publiziert hatte. Laut heise zeigt das Video, wie auf einem Laravel-Server nach 38 Sekunden Systembefehle laufen. Funktionierende Exploits von Kriminellen waren zum Zeitpunkt der Veröffentlichung nicht bekannt, heise rechnet aber damit, dass sich das schnell ändert. Laut it-business.de hat das BSI eine Warnung der Stufe 3 („Orange”) ausgesprochen und empfiehlt, Webserver notfalls vorübergehend vom Netz zu nehmen, wenn Patches nicht kurzfristig eingespielt werden können (Quelle: it-business.de). Der Hoster Uberspace kündigte laut heise an, zeitweise alle PHP-Dienste abzuschalten, Cloudflare stellte Filterregeln bereit, die aber nur eine Übergangslösung sind.
Diese Versionen schließen die Lücken
Nur ein Update behebt das Problem vollständig. Konfigurationsänderungen, die das PHP-Team als Notbehelf nennt, bezeichnet es selbst als „temporäre Krücke”. Gepatcht sind:
PHP 8.5.12 (empfohlen)
PHP 8.4.27
PHP 8.3.36 (aktive Unterstützung bis Ende 2027)
PHP 8.2.35 (Unterstützung endet Ende 2026)
Für PHP 7.4, 8.0 und 8.1 sind laut heise Backports angekündigt, Versionsnummern gab es noch nicht.
Nicht vergessen: PHP steckt auch in Geräten, an die kaum jemand denkt. heise nennt, gestützt auf einen Mastodon-Beitrag, als mögliche Kandidaten unter anderem NAS-Systeme von QNAP und Synology, Router von DrayTek, ZyXEL oder Netgear sowie Firewalls wie pfSense und OPNsense. Eine bestätigte Liste betroffener Geräte ist das nicht, ein Blick auf Firmware-Updates lohnt sich trotzdem. Auch Docker-Container mit alter PHP-Version sind betroffen.
Was das für Unternehmen bedeutet
Kurzfristig ist die Aufgabe klar: Fragen Sie noch diese Woche bei Ihrem Hoster oder Webdienstleister nach, welche PHP-Version Ihre Website, Ihr Shop und Ihr Buchungssystem nutzen und ob das Update eingespielt ist. Bei Shared Hosting erledigt das meist der Anbieter, bei eigenen Servern oder virtuellen Maschinen liegt die Verantwortung bei Ihnen. Die Tanzschule mit Online-Kursbuchung, der Pflegedienst mit Bewerberportal oder der Handwerksbetrieb mit WordPress-Seite haben alle dasselbe Risiko: Über den Webserver kommen Angreifer an Kundendaten und Formulareingänge. Prüfen Sie außerdem NAS und Router im Büro auf Firmware-Updates.
Langfristig ist die Lehre wichtiger. Wenn KI-gestützte Audits Lücken in diesem Tempo finden, wird der Abstand zwischen Veröffentlichung und Angriff kürzer. Hoffen, dass der Hoster schon reagiert, reicht nicht. Sinnvoll ist ein schriftlich festgelegter Update-Prozess: Wer ist zuständig, wie schnell werden kritische Patches eingespielt, wer bekommt Sicherheitswarnungen? Vieles davon lässt sich mit einfacher Workflow-Automation abbilden, etwa ein automatischer Abgleich der installierten Versionen mit Warnmeldungen und eine Benachrichtigung ans zuständige Teammitglied. Der Aufwand dafür liegt eher bei Stunden als bei Tagen, der Schaden eines übernommenen Servers deutlich höher.
